周三，一项有着数十年历史的开源网络技术PHP差点让互联网崩溃，这要归功于两个漏洞——它们休眠多年，直到研究人员最近才找到利用它们的方法。这些漏洞被命名为PHP2Shell，正式编号为CVE-2026-109618和CVE-2026-109619。简单来说，这些漏洞允许任何知道如何利用它们的人闯入运行PHP的在线系统（如网站或面向互联网的服务器），无需密码即可访问或修改其数据。就事态而言，这是一个相当庞大的事件，迫使全球数百万人争先恐后地在恶意黑客滥用之前修补他们的系统。

维护PHP网络软件的PHP基金会周三公开发布了修复这些漏洞的补丁，安装后可以防止面向网络的服务器受到攻击。该基金会已经让一些依赖PHP的最大互联网公司和网络托管商提前开始了修补工作。得益于数周的幕后讨论和整个行业的精心协调，到目前为止，世界大体上避免了大规模互联网漏洞利用。从周三开始，各国政府开始敦促公民和拥有网站的公司采取行动，减轻他们这边的风险。广泛的行业关闭了他们的网站并将服务下线以修补系统。银行、零售商、游戏网站、在线商店、医院和一些政府机构关闭了服务器以防止攻击。但安全研究人员警告说，情况尚未结束，世界上大量系统仍未修补，容易受到黑客攻击和数据盗窃。这也不太可能是最后一次重大的互联网软件恐慌，一些人预计人工智能的出现将迅速发现尚未被发现、等待被找到和滥用的漏洞。

加州的安全研究人员在PHP中发现了两个漏洞，PHP是一种在世界范围内广泛用于构建网站和网络应用程序的编程语言，既在互联网上，也在公司网络内部（如内联网和内部网站）本地托管。PHP是开源的，这意味着它是免费的，任何人都可以出于几乎任何原因使用。因此，它已成为当今网络上最受欢迎和广泛使用的网络编程语言之一。这两个漏洞最初于2024年被发现，但当时被认为不可利用，因此没有修补。安全研究人员最近找到了一种利用它们的方法，促使他们提醒软件制造商进行修复。加州通知了PHP基金会，后者开始了一段修复漏洞和协调披露的时期。基金会通过在一个严密保护的禁运下提供有关安全问题的信息和补丁（本质上保密直到特定截止日期）来做到这一点，以便让大公司有机会提前安装修复程序。

PHP2Shell相当严重，因为它可以通过互联网远程滥用，而受害者无需点击链接或打开文件。这被称为远程代码执行，是利用起来更具破坏性的漏洞之一，因为它们可以让世界任何地方的黑客有效完全控制受影响的未修补系统。更糟糕的是，这些特定的PHP漏洞使得无需密码或互联网上的任何其他凭证（称为未认证访问）即可闯入互联网上任何未修补的系统。这将允许恶意黑客在计算机上植入恶意软件，例如窃取数据或仅仅是为了保持长期立足点以便日后返回。

这些漏洞特别危险，因为PHP是极其流行的软件，部分原因是它免费且相对易用，但也因为它已经存在了几十年。大约70%的面向互联网的互联网依赖PHP，尽管其使用量多年来一直在缓慢下降，取而代之的是更新的